ホワイトハッカーになりたいです！初心者でも読めるおすすめの参考書ってないですか フォレンジックに興味があるけどどの書籍がよいのか分からなくて セキュリティの勉強をしたいが役に立つ独学できる本を教えてください このような方の参考になればと思い、自分が今までに読んできた本の中から良かったと思える日本語の本を27冊選んでご紹介します。 ホワイトハッカーはサーバやネットワークへの攻撃を守るセキュリティ人材です 前回の記事では厳選して5冊紹介したため、初心者向けの本が少なかったと思います。

新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2023年版）」を今年も公開します。 ■インプットで参照している情報源（海外） ランサムウェア攻撃やフィッシング攻撃等、サイバー攻撃インシデントの多くでは、出し子、買い子、送り子といった犯罪活動の協力者などを除き、日本の警察に逮捕された容疑者はそれほど多くない事が、ニュース等の報道を見ていると分かるかと思います。海外から日本の組織が攻撃を受けているケースが多いと推定される中、自己防衛が重要であり、最近は脅威インテリジェンスを活用して攻撃の初期段階、初期兆候を重要視する企業も増えてきています。海外の主要セキュリティサイトの情報をいち早く把握する事で、脅威インテリジェンス並とまでは言えないかも知れませんが、国内サイトで報じられるまでの時差を稼ぐ事が可能になるケースもあり、当ブログでも有力海外ソースの発信情報をチェッ

「最新の脅威に対処するサイバーセキュリティー対策の指針を、防衛省が遅ればせながら取り入れた。情報を守りながらビジネスの展開速度を高めたい企業は注目すべきだ」――。自衛隊出身で日本のサイバーセキュリティーの第一人者であるサイバーディフェンス研究所の名和利男専務理事はこう強調する。 その新たな指針が、防衛装備品などに関連する重要情報をサイバー攻撃から守るための「防衛産業サイバーセキュリティ基準」である。従来の基準を大幅に改定し、攻撃の早期発見や攻撃を受けた後の対策などを拡充した。2023年度から適用するとして、関連する企業に対応を求めた。 防衛省は新基準の作成に当たり、米政府が自国の防衛産業に求める基準と同レベルのものを目指した。具体的には、米国が採用するセキュリティーのガイドライン「NIST SP800-171」を参考にしたという。NISTの名の通り、米国立標準技術研究所（NIST）が策定し

キャリアって何だ？ 自分らしい強みを活かし、蓄積することで、到達するありたい姿 Will：何がしたいのか Can：何ができるのか Must：何を求められているのか スキルの寿命は短くなり、キャリアの形成期間は長期化の傾向にある。 自らのキャリアアンカーを知る 長期的な方向性の道しるべとして「キャリアアンカー」を活用する。 エドガー・H・シャイン（Edgar Henry Schein）博士によって提唱されたキャリア理論 築き上げてきたキャリアに基づいた、生涯にわたってぶれない自己欲求・または自己が望む価値観 まずは「セルフアセスメント（40問）」を実施し自分のタイプを把握しておく 8つの分類（専門・職能別 / 全般管理 / 保障・安定 / 起業家的創造性 / 自律と独立 / 社会への貢献 / ワークライフバランス / 純粋なチャレンジ） ※注意：8つの分類とは違うキャリアアンカーを持つ人もい

兵庫県尼崎市でUSBメモリ紛失のインシデントが発生し、大きな話題を集めました。インシデント自体も問題ですが、記者会見の場でパスワードの詳細が漏れてしまうなどセキュリティ管理の甘さが取り沙汰されています。ここからどのような教訓が得られるのでしょうか。

たけ @take_ccat この調査報告書、事故発生から回復までのプロセスは色々と問題ある点は否めないが、最終的にまとめられた報告書により、プラマイゼロどころか、#事故対応アワード に取り上げて賞賛すべき内容に昇華した感じ。 社会、とりわけセキュリティ意識の低い事業者への警鐘という点において、大変有用で感謝。 2022-06-20 00:12:10 辻 伸弘 (nobuhiro tsuji) @ntsuji 本日、17時からこちら！ ご視聴いただく方はご意見、ご感想等ハッシュタグ「 #事故対応アワード 」を付けてツイートいただけますと幸いです！ 第7回 情報セキュリティ事故対応アワード｜2022-06-28｜ITセミナー・製品情報 news.mynavi.jp/itsearch/semin… 2022-06-28 16:12:41

IPA のけしからん技術が再び壁を乗り越え、セキュアな LGWAN 地方自治体テレワークを迅速に実現 2020 年 11 月 3 日 (火) 独立行政法人情報処理推進機構 (IPA) 産業サイバーセキュリティセンター サイバー技術研究室 登 大遊 独立行政法人 情報処理推進機構 (IPA) 産業サイバーセキュリティセンター サイバー技術研究室は、このたび、できるだけ多くの日本全国の地方自治体 (市町村・県等) の方々が、LGWAN を通じて、迅速に画面転送型テレワークを利用できるようにすることを目的に、J-LIS (地方公共団体情報システム機構) と共同で、新たに「自治体テレワークシステム for LGWAN」を開発・構築いたしました。 本システムは、すでに 8 万ユーザー以上の実績と極めて高い安定性 を有する NTT 東日本 - IPA 「シン・テレワークシステム」をもとに、LGWAN

情報を安全に取り扱うためには、通信情報や保管情報の暗号化や署名などに使う暗号技術のみに注意を払うだけでは不十分であり、その暗号技術に用いられる暗号鍵に対して適切に鍵長を設定し、さらに適切に鍵管理を行って安全に運用していくことが必要です。 本書では、安全な暗号技術の導入の観点から、暗号技術を利用する際の鍵長の選択方法に関する一般的な考え方を解説します。実際の利用用途や利用期間、環境、コスト、その他様々な制約条件を踏まえて、必要なセキュリティ強度を満たすように鍵長を設定する上で参考となるガイドラインとして取り纏めています。 「暗号鍵設定ガイダンス」の内容 本書で示すセキュリティ強度は暗号技術のセキュリティ（暗号学的安全性） を判断する上での目安となるものであり、利用する鍵長によってセキュリティ強度と処理効率などが変わることに留意する必要があります。 アルゴリズムの中には（特にRSAなどの公開鍵

背景 私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。 想定利用者 日本語話者のセキュリティエンジニア全般ですが、中でも「ユーザー企業や官公庁で働く実務担当者」を主なターゲットとしています。「英語はちょっと……

情報セキュリティ10大脅威 2022 64ページ(PDF:5.2 MB) 本資料は、2月28日に公開した「情報セキュリティ10大脅威 2022」解説書 [個人編] に組織編とコラムを追加し、再編集したものです。 情報セキュリティ10大脅威 2022 知っておきたい用語や仕組み 24ページ(PDF:2.1 MB) 情報セキュリティ10大脅威の活用法 18ページ(PDF:2.9 MB) 本資料は、2020年に公開した「情報セキュリティ10大脅威 2020」解説書の「3章. 情報セキュリティ10 大脅威の活用法」を、「情報セキュリティ10大脅威 2022」向けに再編集したものです。 「情報セキュリティ10大脅威 2022」簡易説明資料（スライド形式） 情報セキュリティ10大脅威 2022 [組織編] 78ページ(PDF:3.1 MB) 情報セキュリティ10大脅威 2022 [個人編] 79ページ

新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増しています。去年に引き続き、今年も絶対外したくない海外サイトからご紹介します。 サイト キタきつね寸評 1位 morningstar SECURITY 不動の1位です。ジャンルの広さ、情報の更新頻度、関連ソースの網羅性など、英語系のセキュリティニュースとしては群を抜いた、最良のまとめサイトです。 私は「Daily Security News（最も人気のあるセキュリティニュース）」（一番上）と「Security Blogs（セキュリティブログ）」（下から3つ目）を主にチェックしていますが、人によって興味が違うかと思いますので、「Malware/APT」「Exp

ブラウザでネットサーフィンをしていると「このウェブサイトは安全でない可能性があります」といった警告を目にした経験がある人は多いはず。警告が表示される原因のひとつに「信頼されていない証明書をウェブサイトが利用している」ことがありますが、どの証明書を信頼するかはプラットフォームやデバイスによってまちまちです。Windows向けフリーソフトの「RootIQ」を使うと、手軽に信頼する証明書を減らして、デフォルトで非常に多くの証明書を信頼しているWindowsのセキュリティを向上させられます。 RootIQ https://www.metasudo.com/ You don't need all those root certificates – – Writeups and random thoughts. https://hexatomium.github.io/2020/10/17/001.h

PCのロックさえ解除されていれば、サイトのログイン画面開いてパスワードが「●●●●」って自動入力されてるところを右クリックして「検証」 あとはコンソールに $0.value でパスワードが読める。エンジニアならPCのパスワードなんて使わないだろう。

最近は電子お薬手帳も普及しており、飲んでいるお薬の確認をするときに、患者さんからスマートフォンを見せてもらいながら併用薬の確認をしています。電子お薬手帳にデータを登録する際、薬局からQRコードが印刷された紙を渡されることがあるかと思いますが、その取り扱いが大変注意が必要なので、今回はそのお話をさせていただきます。 上記の写真は薬局お茶の水ファーマシーでお渡ししている電子お薬手帳のデータシートです。患者さんの電子お薬手帳アプリでQRコードを読み取り、終わったら個人情報保護のために溶解処理用のBOXに入れて、定期的に溶解処理しています。時折、自宅でやるから紙だけくださいというご要望もあるため、その場合は「かならずQRコード部分をビリビリに破いて破棄してください」と徹底して指導させていただいております。 というのも、ほとんどのQRコードにおいて同様のことが言えるのですが、個人情報を含んだQRコー

CDについているシリアルコードで、ライブのチケットに応募することがしばしばある。いくつかコードを打ち込むうち、魔が差してこんなことを考えてしまう。「適当に打ち込んだら通ったりしないかな……」と。 応募券のイメージ 本当に通ったら一大事なので、このような仕組みを設計する段階でどうにかして防いでいる訳だが、どのようにやっているのだろう。その防止策の1つに「チェックディジット」というものがある。 まず、完全にランダムな文字列にすると困る あなたがライブを主催することになり、0～9の数字からなる16桁のシリアルコードで抽選を行うとしよう。あなたならどのようにコードを作るだろうか？ 単純に考えれば、16個の枠それぞれに0～9の数字を1つずつランダムに選べばいい（つまり、0～9の乱数を16個並べればいい）のだが、完全にランダムだと不都合が多い。例えば、ランダムだと限りなく似ているコードが生成される可能

by www.shopcatalog.com ユーザー認証などに使用するパスワードは外部から推測しにくいものが推奨されており、意味の通らない英字や数字の組み合わせはほかの人とパスワードがかぶりにくく、セキュリティが高いと思われがちです。しかし、エンジニアのRobert Ou氏は「ji32k7au4a83」という一見意味の通らないパスワードが多くの人に使われていることを発見し、「なぜこのようなランダムに見える文字列がたくさんの人に使われているのか？」という謎についてTwitterで発信しました。 Fun thing I learned today regarding secure passwords: the password "ji32k7au4a83" looks like it'd be decently secure, right? But if you check e.g. HIB

現地時間の2019年1月28日、AppleがiOS端末やmacOS端末向けにリリースしている通話アプリ「FaceTime」で、通話の呼び出し中の段階で電話をかけた相手側の音声を拾うことが可能になるバグが話題を呼びました。このバグはなんとわずか14歳の少年が人気ゲームの「フォートナイト」をプレイしている途中に発見したもので、話題になる1週間以上前からAppleにその存在を警告していたことが明らかになっています。 Apple's FaceTime bug was discovered by a teen playing Fortnite - CNET https://www.cnet.com/news/apples-facetime-bug-was-discovered-by-a-teen-playing-fortnite/ AppleのFaceTimeで、わずか数ステップの簡単な操作を行うだ

By Steven Cooper カフェなどで時間を過ごしていると、お気に入りのブランドやメディアのロゴがプリントされたステッカーを貼ったノートPCを使って作業をしている人を見かけることがあります。自分だけのカスタマイズとしてドレスアップすることは決して悪いことではありませんが、一方ではセキュリティ上のリスクを含む行為であることを考えるべきであるとセキュリティ専門家が警鐘を鳴らしています。 Putting Stickers On Your Laptop Is Probably a Bad Security Idea - Motherboard https://motherboard.vice.com/en_us/article/pawvnk/stickers-on-laptop-operational-security-bad-idea ステッカーによるリスクを指摘しているのは、活動グルー